Erstellen eines Incidentberichts mit Microsoft Copilot in Microsoft Defender

Microsoft Security Copilot im Microsoft Defender-Portal unterstützt Sicherheitsteams bei der effizienten Erstellung von Incidentberichten. Mithilfe der KI-gestützten Datenverarbeitung von Security Copilot können Sicherheitsteams sofort Mit einem Klick auf eine Schaltfläche im Microsoft Defender-Portal Incidentberichte erstellen.

In diesem Leitfaden werden die Daten in Vorfallberichten aufgelistet und Schritte zum Zugreifen auf die Funktion "Vorfallbericht generieren" im Microsoft Defender-Portal beschrieben. Dieses Handbuch enthält auch Informationen zum Bereitstellen von Feedback zum generierten Bericht.

Bevor Sie anfangen

Wenn Sie noch nicht mit Security Copilot vertraut sind, sollten Sie sich mit den folgenden Artikeln vertraut machen:

• Was ist Security Copilot?
• Security Copilot Erfahrungen
• Erste Schritte mit Security Copilot
• Verstehen der Authentifizierung in Security Copilot
• Eingabeaufforderung in Security Copilot

Ein umfassender und klarer Incidentbericht ist eine wichtige Referenz für Sicherheitsteams und die Verwaltung von Sicherheitsvorgängen. Das Schreiben eines umfassenden Berichts mit den vorhandenen wichtigen Details kann jedoch eine zeitaufwändige Aufgabe für Sicherheitsbetriebsteams sein. Das Sammeln, Organisieren und Zusammenfassen von Incidentinformationen aus mehreren Quellen erfordert eine fokussierte und detaillierte Analyse, um einen Bericht mit umfangreichen Informationen zu erstellen. Mit Copilot in Defender können Sicherheitsteams jetzt sofort einen umfangreichen Incidentbericht im Portal erstellen.

Während eine Incidentzusammenfassung einen Überblick über einen Incident und dessen Auftreten bietet, werden in einem Incidentbericht Incidentinformationen aus verschiedenen Datenquellen konsolidiert, die in Microsoft Sentinel und Defender XDR verfügbar sind. Der von Copilot generierte Incidentbericht enthält auch alle von Analysten gesteuerten Schritte und automatisierten Aktionen, die an der Reaktion auf Vorfälle beteiligten Analysten und die Kommentare der Analysten. Unabhängig davon, ob Sicherheitsteams Microsoft Sentinel, Defender XDR oder beides verwenden, werden alle relevanten Incidentdaten dem generierten Incidentbericht hinzugefügt.

Copilot generiert den Schadensbericht basierend auf den automatischen und manuell implementierten Aktionen sowie den Kommentaren und Notizen der Analysten, die im Incident gepostet wurden. Sie können die Empfehlungen für die Erstellung von Vorfallberichten überprüfen und befolgen, um sicherzustellen, dass Copilot einen umfassenden Vorfallbericht erstellt.

Security Copilot-Integration in Microsoft Defender

Die Funktion zum Generieren von Incidentberichten in Microsoft Defender ist für Kunden verfügbar, die Zugriff auf Security Copilot bereitgestellt haben.

Die Erstellung von Vorfallberichten ist auch im eigenständigen Security Copilot Portal über das Microsoft Defender XDR-Plug-In verfügbar, eine vorinstallierte Security Copilot Integration, die Copilot mit Defender Vorfalldaten verbindet. Erfahren Sie mehr über vorinstallierte Plug-Ins in Security Copilot.

Wichtige Funktionen des Vorfallberichts

Copilot in Defender erstellt einen Incidentbericht mit den folgenden Informationen:

• Zeitstempel der wichtigsten Incidentmanagementmaßnahmen, einschließlich:
  • Erstellung und Schließung von Incidents
  • Erste und letzte Protokolle, unabhängig davon, ob das Protokoll vom Analysten gesteuert oder automatisiert war, werden im Incident erfasst.
• Die Analysten, die an der Incident Response beteiligt sind
• Klassifizierung des Incidents, einschließlich der Begründung des Analysten für die Klassifizierung, die von Copilot zusammengefasst wird
• Untersuchungs- und Wartungsaktionen
• Nachverfolgung von Aktionen wie Empfehlungen, offenen Problemen oder nächsten Schritten, die von den Analysten in den Incidentprotokollen angegeben werden

Aktionen wie Geräteisolation, Deaktivieren eines Benutzers und vorläufiges Löschen von E-Mails sind im Schadensbericht enthalten. Eine vollständige Liste der im Incidentbericht enthaltenen Aktionen finden Sie im Info-Center. Der Incidentbericht enthält auch ausgeführte Microsoft Sentinel-Playbooks. Liveantwortbefehle und Antwortaktionen aus öffentlichen API-Quellen oder benutzerdefinierten Erkennungen werden noch nicht unterstützt.

Es wird empfohlen, den Incident zu beheben, um alle ausgeführten Aktionen anzuzeigen. Nicht gelöste Incidents widerspiegeln die Maßnahmen im Incident-Bericht nur teilweise.

Erstellen eines Schadensberichts

Führen Sie zum Erstellen eines Incidentberichts mit Copilot in Defender die folgenden Schritte aus:

1. Öffnen Sie die Incident-Seite. Navigieren Sie auf der Vorfallseite zu den Weitere Aktionen-Auslassungspunkten (...), und wählen Sie dann Vorfallbericht erstellen aus. Alternativ können Sie das Berichtssymbol im Copilot-Seitenbereich auswählen.

   

2. Copilot erstellt den Incidentbericht. Sie können die Berichtserstellung beenden, indem Sie Abbrechen auswählen und die Berichtserstellung neu starten, indem Sie Erneut generieren auswählen. Darüber hinaus können Sie die Berichtserstellung neu starten, wenn ein Fehler auftritt.

3. Die Karte "Incidentbericht" wird im Bereich "Copilot" angezeigt. Der generierte Bericht hängt von den Incidentinformationen ab, die von Microsoft Defender XDR und Microsoft Sentinel verfügbar sind. Lesen Sie die Empfehlungen für die Erstellung von Vorfallberichten , um einen umfassenden Vorfallbericht sicherzustellen.

   

   

4. Wählen Sie das Auslassungssymbol für „Weitere Aktionen“ (...) oben rechts auf der Karte des Vorfallberichts aus. Um den Bericht zu kopieren, wählen Sie In Zwischenablage kopieren aus, und fügen Sie den Bericht in Ihr bevorzugtes System ein, In Aktivitätsprotokoll posten, um den Bericht dem Aktivitätsprotokoll im Microsoft Defender-Portal hinzuzufügen, oder Incident als PDF exportieren, um die Incidentdaten in PDF zu exportieren. Wählen Sie Neu generieren aus, um die Berichtserstellung neu zu starten. Sie können auch in Security Copilot öffnen, um die Ergebnisse anzuzeigen und weiterhin auf andere Plug-Ins zuzugreifen, die im eigenständigen Security Copilot-Portal verfügbar sind.

   

5. Überprüfen Sie den generierten Incidentbericht. Sie können Feedback zu dem Bericht geben, indem Sie das Feedbacksymbol auswählen, das sich unten in den Ergebnissen befindet .

Exportieren von Incidentdaten in eine PDF-Datei

Sie können die Incidentdaten als PDF-Datei exportieren, um einen Bericht zu erstellen, den Sie problemlos für Projektbeteiligte freigeben können. Die exportierten Incidentdaten enthalten relevante Informationen wie die Angriffsgeschichte, betroffene Ressourcen, relevante Warnungen und KI-generierte Inhalte von Copilot, z. B. die Incidentzusammenfassung und den Incidentbericht. Mit dieser Funktion können Sicherheitsteams schnell weitere Informationen zu Vorfällen exportieren, um Diskussionen nach dem Incident innerhalb von Teammitgliedern oder mit anderen Beteiligten zu führen.

Sie können die Schritte unter Exportieren von Incidentdaten in PDF ausführen, um die PDF-Datei zu generieren.

Empfehlungen für die Erstellung von Incidentberichten

Im Folgenden sind einige Empfehlungen aufgeführt, die Sie berücksichtigen sollten, um sicherzustellen, dass Copilot einen umfassenden und vollständigen Incidentbericht generiert:

• Klassifizieren und beheben Sie den Incident, bevor Sie den Incidentbericht erstellen.
• Stellen Sie sicher, dass Sie Kommentare im Microsoft Sentinel-Aktivitätsprotokoll oder im Microsoft Defender XDR-Incidentaktivitätsprotokoll schreiben und speichern, um die Kommentare in den Incidentbericht einzuschließen.
• Schreiben Sie Kommentare in einer umfassenden und klaren Sprache. Ausführliche und klare Kommentare bieten einen besseren Kontext zu den Antwortaktionen. In den folgenden Schritten erfahren Sie, wie Sie auf das Kommentarfeld zugreifen:
  • Hinzufügen von Kommentaren zu Incidents im Microsoft Defender-Portal
  • Hinzufügen von Kommentaren zu Incidents in Microsoft Sentinel
• Aktivieren Sie für ServiceNow-Benutzer die bidirektionale Synchronisierung von Microsoft Sentinel und ServiceNow, um stabilere Incidentdaten zu erhalten.
• Kopieren Sie den generierten Incidentbericht, und stellen Sie ihn im Aktivitätsprotokoll im Microsoft Defender-Portal bereit, um sicherzustellen, dass der Incidentbericht auf der Incidentseite gespeichert wird.

Beispielaufforderung für die Erstellung eines Incidentberichts

Im Security Copilot eigenständigen Portal können Sie die folgende Eingabeaufforderung verwenden, um den Incidentbericht zu erstellen:

• Generieren Sie den Vorfallbericht für den Defender-Vorfall {incident ID}.

Feedback geben

Microsoft empfiehlt Ihnen dringend, Copilot Feedback zu geben, da dies für die kontinuierliche Verbesserung einer Funktion von entscheidender Bedeutung ist. Um Feedback zu geben, wechseln Sie zum unteren Ende des Copilot-Seitenbereichs und wählen Sie das Feedbacksymbol .

Verwandte Inhalte

• Erfahren Sie mehr über andere in Security Copilot integrierte Funktionen
• Datenschutz und Datensicherheit in Security Copilot